台灣校園 MikroTik 網路建置實務：從 TANet 接入到無線漫遊
以十多年在 TANet 環境的實際網管經驗，說明 MikroTik RouterOS 如何應對校園複雜需求，包含 VLAN 分段、OSPF 組網、Hotspot 無線認證與頻寬管制。
為什麼校園網路適合用 MikroTik？
台灣學術網路（TANet）連接了全國大多數大學、高中職與國中小學校，是全台流量最大的教育專用骨幹網路之一。在這個環境中，校園端設備需要同時滿足幾個條件：多 VLAN 分段、動態路由協定支援、Hotspot 認證整合、以及相對合理的總持有成本。
MikroTik RouterOS 在這幾個面向都有良好的原生支援，再加上授權費用低（或直接包含在硬體中），成為許多資源有限的中學與大學院系選用的主因。
典型校園網路架構
一所中型高中的校園網路，通常長這樣：
- TANet 連線：由教育部統一安排 ISP 接入，透過 BGP 或靜態路由接進學校邊界路由器
- 核心層：一台或兩台 MikroTik CCR 系列或 RB4011 擔任核心路由，處理 Inter-VLAN Routing 與動態路由
- 分佈層：各棟大樓各一台 MikroTik 或 L3 交換器，透過 Trunk 連接核心
- 接入層：L2 交換器 + MikroTik hAP / cAP 無線 AP
VLAN 通常會拆分成：
| VLAN | 用途 |
|---|---|
| 10 | 行政辦公網路 |
| 20 | 教師教學網路 |
| 30 | 學生有線網路 |
| 40 | 學生 Wi-Fi（Hotspot 認證） |
| 99 | 管理用（out-of-band） |
動態路由：OSPF 在校園多點環境的應用
當校園有多棟大樓、多個子網路需要動態學習路由時，OSPF 是最常見的選擇。RouterOS 的 OSPF 實作穩定，支援 OSPFv2（IPv4）與 OSPFv3（IPv6）。
常見做法：
- 所有大樓路由器加入 Area 0（骨幹區域）
- 使用
/routing ospf interface-template指定哪些介面參與 OSPF - Passive Interface 設定在學生 VLAN 上，避免路由資訊外洩
一個值得注意的細節：校園環境往往有不少歷史遺留設備，RouterOS 的 OSPF 可以透過 redistribute connected 讓非 OSPF 設備管理的子網路也被正確通告。
Hotspot：無線學生認證的核心
校園無線認證是個老問題，但 MikroTik Hotspot 提供了輕量的本地解決方案，可以整合 RADIUS 伺服器（如 FreeRADIUS + MySQL）實現：
- 學生帳號管理：與學校 LDAP / Active Directory 串接
- 頻寬配額：每個帳號每日限速或限量
- 登入頁面客製化：HTML/CSS 可完整自訂
- MAC 位址綁定：防止帳號共用
透過 /ip hotspot user profile 可以針對不同角色設定不同的速率限制。例如教師帳號不限速、學生帳號日流量上限 5 GB。
頻寬管制：Queue Tree 的進階應用
TANet 連線頻寬通常是按月付費的固定頻寬（如 1Gbps 或 10Gbps），但校園使用行為尖峰非常明顯（早上 8 點、午休、下午放學）。
使用 Queue Tree + Mangle 的做法，可以：
- 標記上行、下行流量（Mangle）
- 總頻寬設上限（Queue Tree parent）
- 依 VLAN / IP 範圍建立子佇列
- PCQ（Per Connection Queuing）確保公平分配
比起單純的 Simple Queue，Queue Tree 的靈活度更高，但設定複雜度也高，建議先在測試環境驗證。
實際踩過的坑
問題一：CAPsMAN 無線漫遊延遲
在多樓層環境使用 CAPsMAN 集中管理 AP 時，學生從一層走到另一層偶爾會斷線 3–5 秒。根本原因是 802.11r（Fast BSS Transition）的支援程度依硬體世代而異。解法：在 CAPsMAN configuration 中啟用 station-roaming，並將同一棟的 AP 放在同一個 provisioning 規則下。
問題二：Conntrack 表滿載
學生大量下載 BT 時，/ip firewall connection 連線表可能達到上限（預設 128k）造成新連線被丟棄。解法：在邊界路由器的防火牆規則加入對 BT 流量的連線限制，或提高 conntrack 上限（需評估記憶體）。
問題三：OSPF 鄰居關係不穩定
舊款 RB 設備在高負載時，OSPF Hello 封包偶爾延遲，導致鄰居關係震盪。調整 hello-interval 至 10s、dead-interval 至 40s，情況改善。
結語
MikroTik 在台灣校園的應用已有十多年歷史，RouterOS 的功能廣度足以應對大多數學校需求。但它的學習曲線不低，文件主要是英文，在地支援資源也不如 Cisco 豐富。選用前，請確認貴單位有能力維運，或有可長期合作的外部技術夥伴。
如有校園網路規劃或 MikroTik 培訓需求，歡迎聯絡我們。